Unformat van een Bitlocker HD

[Activate]

Ik heb dus het volgende probleem :

Ik heb dus een backup van mijn mij user directory van mijn Windows 8.1 systeem gemaakt (SSD schijf) en deze op een normale schijf in mijn systeem gekopieerd.

Ik heb mijn systeem aan onze ICT afdeling gegeven omdat er Windows 10 op geïnstalleerd zou worden echter heeft de ICT medewerker ook de D schijf geformatteerd waardoor ik dus geen backup meer heb.

Ze hebben geprobeerd met Easus unformat de data te herstellen wat dus niet lukt vanwege de Windows bitlocker software en ICT zegt dat het voor hun nu onmogelijk is om de data terug te halen.

De Bitlock key is niet bekend zeggen hun waardoor zij niets meer kunnen doen?

Is er een mogelijkheid om toch nog data te kunnen herstellen?

Alvast bedankt!

[Gumball]

Nee, dat zou heel Bitlocker namelijk nutteloos maken.

[Room42]

Hangt er vanaf hoe deze geformatteerd is. Als dit gewoon een quick is, zou de partitie wel te herstellen moeten zijn maar daarna heb jij wel nog de key nodig om de data te decrypten. Hopelijk heb jij een recovery key gemaakt bij het encrypten. Google ook even op 'bitlocker data recovery'.

[Activate]

Dank jullie voor de antwoorden.

Het is idd een quick format geweest, de key is niet meer aanwezig....

[Room42]

Activate schreef op maandag 3 april 2017 @ 12:51:
[...] de key is niet meer aanwezig....

Dan is de data gewoon verloren. Helaas.

[Activate]

De key is terug!!!

Wat is de beste software om te proberen data te herstellen?

Alvast bedankt!

[Room42]

Activate schreef op maandag 3 april 2017 @ 15:54:
De key is terug!!!

Wat is de beste software om te proberen data te herstellen?

Alvast bedankt!

Room42 schreef op maandag 3 april 2017 @ 12:27:
[...] Google ook even op 'bitlocker data recovery'.

[ Voor 38% gewijzigd door Room42 op 03-04-2017 16:00 ]

[Activate]

Ik heb hem geprobeerd te herstellen met M3 Bitlocker maar zonder succes, heel vreemde files en directory's maar geen bruikbare info.

Iemand een beter pakket?

Alvast bedankt

[Room42]

En die EaseUS dan? Beetje eigen inzet, aub.

[ Voor 70% gewijzigd door Room42 op 03-04-2017 16:49 ]

[Activate]

Dank je voor je reply,

Easus had ik al geprobeerd, hij zoet wel dat het een Bitlocker schijf is maar vraagt niet om de key, dus hij vind niets terug.

Groeten,

Erik.

[medal]

Het gaat dus om een volledig geincrypte schijf of enkel een container ?

Indien de volledige schijf geencrypt is moeten eerst de partitie table en file table hersteld worden, probeer dit is met Testdisk.

Maak wel eerst even een bitstream Images van de schijf met bijvoorbeeld DD of FTK Imager.
Probeer testdisk ook eerst uit te voeren op de Images, je wil zo min mogelijk schrijf acties hebben op de originele schijf anders wordt het een zeer lastig verhaal.

[ppaulv]

Hallo, ik heb een soortgelijk probleem en kom er, ook met bovenstaande tips, niet uit.
Ik heb een USB stick. Die was ge-encrypt met bitlocker.
Ik dacht de sleutel kwijt te zijn en de data nog ergens gekopieerd. Dus ik heb e stick geformatteerd (quick).
Dat was beide niet juist.
De sleutel heb ik weer gevonden. En ik had geen kopie.
Met TestDisk zie ik alleen de huidige partite/formattering. Denk ik.
Easus data recovery laat allerlei files zien die heel goed de verloren gegane bestanden zouden kunnen zijn, gezien de grootte. Maar wat nu te doen?

[raptorix]

Met betrekking tot bitlocker, zorg ervoor dat je die key niet kwijt raakt, enige tijd terug had ik collega die een Bios update had gedaan waarna om de masterkey werd gevraagd. Nu staan die normaal gewoon in de administratie, helaas was dit in dit geval vergeten, en was een reinstall de enige optie.

Had ook andere collega waarbij het regelmatig gebeurde als hij bepaalde devices op zijn machine had aangesloten.

[Thralas]

raptorix schreef op donderdag 11 januari 2018 @ 15:35:
Met betrekking tot bitlocker, zorg ervoor dat je die key niet kwijt raakt, enige tijd terug had ik collega die een Bios update had gedaan waarna om de masterkey werd gevraagd. Nu staan die normaal gewoon in de administratie, helaas was dit in dit geval vergeten, en was een reinstall de enige optie.

Waar bovenstaande posts over het originele probleem overigens compleet aan voorbij gaan is dat je binnen een Active Directory ook een Bitlocker recovery key kunt opslaan.

Gaat volgens mij vanzelf bij een recent domein. En anders stel je 't in; als enterprise moet je de verantwoordelijkheid voor dat soort sleutelmateriaal niet enkel bij het apparaat van de eindgebruiker leggen.

@ppaulv Raar verhaal. Als de disk werkelijk versleuteld was met Bitlocker (en je de sleutel kwijtbent) dan valt er niets te recoveren. Je zou Photorec kunnen proberen, maar verwacht geen wonderen.

[ppaulv]

Ik had de hoop dat de oorspronkelijke formattering (inclusief bitlocker) terug te krijgen zou zijn. En aangezien ik de key weer gevonden heb zou het probleem dan zijn opgelost.
TestDisk laat me echter alleen de nieuwe formattering zien.
Zou het me helpen de huidige partitie/formattering te deleten en dan nogmaals TestDisk erop los te laten?

[raptorix]

Thralas schreef op donderdag 11 januari 2018 @ 22:19:
[...]


Waar bovenstaande posts over het originele probleem overigens compleet aan voorbij gaan is dat je binnen een Active Directory ook een Bitlocker recovery key kunt opslaan.

Gaat volgens mij vanzelf bij een recent domein. En anders stel je 't in; als enterprise moet je de verantwoordelijkheid voor dat soort sleutelmateriaal niet enkel bij het apparaat van de eindgebruiker leggen.

@ppaulv Raar verhaal. Als de disk werkelijk versleuteld was met Bitlocker (en je de sleutel kwijtbent) dan valt er niets te recoveren. Je zou Photorec kunnen proberen, maar verwacht geen wonderen.

Klopt, maar volgens mij doen de meeste bedrijven dat niet met laptops omdat het niet altijd mogelijk is om op dat domein in te loggen, soms hadden wij mensen op locatie zitten die zo afgeschermd waren dat ze niet eens het internet op konden, dat moest dan op een losse desktop die buiten de Firewall stond en afgesloten van het corporate netwerk.

[Thralas]

raptorix schreef op vrijdag 12 januari 2018 @ 10:17:
[...]

Klopt, maar volgens mij doen de meeste bedrijven dat niet met laptops omdat het niet altijd mogelijk is om op dat domein in te loggen, soms hadden wij mensen op locatie zitten die zo afgeschermd waren dat ze niet eens het internet op konden, dat moest dan op een losse desktop die buiten de Firewall stond en afgesloten van het corporate netwerk.

Doel je hier niet op iets heel anders? Het idee van een recovery key is dat je hem normaliter niet nodig hebt, en als dat wel zo is kun je hem als het goed is 'offline' uit het AD vissen.

Er is wel een AD-based Bitlocker key protector, maar die lijkt niet voor FDE (laptop?) bedoeld. De documentatie stelt dat je dan een TPM nodig hebt. Geen idee hoe dat precies werkt, maar dat lijkt me losstaand van recoverysleutels.

ppaulv schreef op vrijdag 12 januari 2018 @ 07:28:
Ik had de hoop dat de oorspronkelijke formattering (inclusief bitlocker) terug te krijgen zou zijn. En aangezien ik de key weer gevonden heb zou het probleem dan zijn opgelost.

Belangrijk detail. je hebt nooit 'de' key. 'De' key (VMK) staat op een Bitlockervolume zelf in een metadata block (waar weliswaar meerdere kopieën van zijn). Met de recovery key of het originele wachtwoord kun je de VMK ontsleutelen en zodoende bij de data op het volume, maar als de Bitlocker-metadata overschreven is (door bijvoorbeeld een onjuiste format) dan kun je nooit meer bij de data, ook niet met het juiste wachtwoord.

TestDisk laat me echter alleen de nieuwe formattering zien.
Zou het me helpen de huidige partitie/formattering te deleten en dan nogmaals TestDisk erop los te laten?

Ik zou sowieso eerst een 1:1 kopie maken van de hele stick voor je ermee gaat rommelen. Iedere write (gezien er nu een ander filesytem opstaat) maakt het sowieso erger, voor zover er uberhaupt nog wat te halen valt.

Daarnaast denk ik niet dat TestDisk met Bitlocker raad weet. Ik zou - als je eenmaal een goede kopie hebt - iets als dit proberen, maar als ik de claim op de homepage mag geloven is het al te laat:

If you accidently formatted Bitlocker encrypted drive using format tool built-in Windows Vista/7/8/8.1/10, there is no way to recover data from formatted Bitlocker encrypted drive, because Bitlocker metadata has been erased completely after formatting under Windows Vista/7/8/8.1/10.

Dan blijft het punt waarop je claimt dat een ander programma files ziet. Dat kan helemaal niet als een drive werkelijk geheel Bitlocker encrypted was, dus er klopt iets niet. Laat dat programma eens z'n ding doen (of nogmaals: Photorec) en probeer eens te bepalen hoe het kan dat je daar data ziet.

Enige dat ik kan bedenken is dat dat leftovers zijn van een pre-bitlocker filesystem, maar je zou ergens verwachten dat Microsoft de hele schijf overschrijft bij het aanzetten van Bitlocker. Hoe dat precies werkt weet ik ook niet.

[downtime]

Thralas schreef op vrijdag 12 januari 2018 @ 12:33:
[...]

Dan blijft het punt waarop je claimt dat een ander programma files ziet. Dat kan helemaal niet als een drive werkelijk geheel Bitlocker encrypted was, dus er klopt iets niet. Laat dat programma eens z'n ding doen (of nogmaals: Photorec) en probeer eens te bepalen hoe het kan dat je daar data ziet.

Enige dat ik kan bedenken is dat dat leftovers zijn van een pre-bitlocker filesystem, maar je zou ergens verwachten dat Microsoft de hele schijf overschrijft bij het aanzetten van Bitlocker. Hoe dat precies werkt weet ik ook niet.

Als je Bitlocker aanzet krijg je 2 opties: Alleen nieuwe bestanden encrypten of het hele file system encrypten. Het eerste is veel sneller maar is in principe alleen veilig op een disk die nooit eerder gebruikt is. Ik kies zekerheidshalve altijd de tweede optie maar da’s volgens mij niet de default.

[ppaulv]

Ik begin er langzaam aan te wennen dat mijn mail archief weg is. En bovenstaande suggesties geven mij niet echt hoop.Zou heel goed kunnen dat de gevonden 'bestanden' overblijfselen zijn van wat er op stond voordat bitlocker er overheen ging.
Helaas pindakaas. Toch iedereen bedankt voor de input!